Brannmurkonfigurasjon: en komplett veiledning for å beskytte nettverket ditt

Informatec Digital » Ressurser » Brannmurkonfigurasjon: en komplett veiledning for å beskytte nettverket ditt

I ethvert moderne nettverk, fra Wi-Fi hjemme til infrastrukturen til en stor bedrift, er brannmuren den første forsvarslinjen mot angrep, uautorisert tilgang og datalekkasjer. Uten riktig konfigurasjon er det som å la inngangsdøren stå på gløtt: ingenting kan skje ... før det skjer.

Likevel kjører mange brukere og til og med noen organisasjoner brannmurene sine med standardinnstillingene, uten å egentlig forstå hva de gjør eller hvordan de skal justeres . Her finner du en omfattende og svært praktisk veiledning om hva en brannmur er, hvordan du konfigurerer den i Windows, macOS, Linux, rutere og servermiljøer, samt avanserte beste praksiser (NGFW, segmentering, logging, ekstra verktøy) slik at du kan skreddersy beskyttelsesnivået til miljøet ditt uten å bli overveldet.

Hva er en brannmur, og hvorfor er den så viktig?

En brannmur er et system som analyserer trafikken som kommer inn og ut av nettverket eller enheten din , og bestemmer hva som skal tillates og hva som skal blokkeres basert på et sett med regler. Denne trafikken består av datapakker som beveger seg ved hjelp av forskjellige protokoller (TCP, UDP, ICMP osv.) og porter.

Ideen er enkel: brannmuren fungerer som et filter og en barriere mellom enheten eller det interne nettverket og internett . Den sjekker hvor en pakke kommer fra, hvor den skal, hvilken port den bruker og hvilken type innhold den inneholder. Hvis den samsvarer med en tillatt regel, slipper den den gjennom; hvis ikke, blokkerer den den. Denne logikken gir klare fordeler: større sikkerhet, lavere sannsynlighet for skadelig programvareinfeksjon og større kontroll over hva som går inn og hva som går ut.

Tenk deg brannmuren din som inngangsdøren til ditt digitale hjem : du bestemmer hvem du slipper inn, hvem du holder ute og hvilke områder av huset hver gjest kan besøke. Dessuten stopper ikke en brannmur bare angrep; den lar deg også begrense tilgangen til bestemte nettsteder eller applikasjoner som, selv om de ikke er skadelige, ikke vil at de skal brukes (for eksempel sosiale medier i et bedriftsmiljø).

I den virkelige verden finner vi to hovedtyper brannmurer: programvarebrannmurer (integrert i operativsystemet eller installert som et program) og maskinvarebrannmurer (dedikerte enheter, ofte integrert i profesjonelle eller bedriftsrutere). I tillegg finnes det neste generasjons brannmurer (NGFW-er) , som kombinerer flere lag med avansert sikkerhet, dyp pakkeinspeksjon, IPS og applikasjonssegmentering og kontrollfunksjoner.

Typer brannmurer du kan støte på

Innenfor «brannmur»-paraplyen finnes det flere teknologier med ulike tilnærminger. Å forstå dem hjelper deg å vite hva du ser på når du sjekker ruterens konfigurasjon, operativsystemet eller en bedrifts-NGFW.

Den første gruppen består av pakkefiltrerende brannmurer . Disse oppretter kontrollpunkter på rutere eller svitsjer og utfører en enkel sjekk av hver pakke basert på kilde-IP-adresse, destinasjons-IP-adresse, port og protokoll. De er raske, men de analyserer ikke innholdet i dybden.

Så har vi gateway- brannmurer på kretsnivå , som fokuserer på å godkjenne eller avvise tilkoblinger basert på øktstatusen, uten å inspisere hver pakke i detalj. De er svært effektive, men mindre effektive til å oppdage komplekse trusler.

Stateful inspection- brannmurer kombinerer pakkeinformasjon med sporing av TCP-tilkoblinger. De vedlikeholder en tabell over aktive økter og bekrefter at trafikken samsvarer med en tillatt flyt, noe som gir mer robust beskyttelse enn enkel statisk filtrering.

Vi har også applikasjonsnivå-gatewayer eller proxy-brannmurer . Disse opererer på applikasjonslaget og inspiserer HTTP, FTP og annen trafikk, noe som gir mulighet for svært detaljerte retningslinjer basert på applikasjonstype eller til og med innhold. Denne tilnærmingen danner grunnlaget for mange skybaserte brannmurer og verktøy for dyp trafikkinspeksjon.

Neste generasjons brannmurer (NGFW-er) integrerer dyp inspeksjon, applikasjonskontroll, funksjoner for inntrengingsforebygging (IPS), filtrering av nettkategorier, avansert filanalyse og i økende grad AI-baserte funksjoner. De kan distribueres som fysisk utstyr, virtuelle maskiner eller skytjenester.

Videre kan vi, basert på plasseringen deres, skille mellom programvarebrannmurer (på hver PC, server eller enhet) og maskinvarebrannmurer (dedikerte apparater i nettverkets perimeter). I tillegg finnes det skybaserte brannmurer , som fungerer som store proxyer som er i stand til å skalere for å beskytte distribuerte miljøer og organisasjoner med mange brukere og lokasjoner.

Brannmur på ruteren: den første forsvarslinjen i nettverket ditt

Ruteren du har hjemme eller på kontoret har vanligvis en innebygd brannmur og NAT/PAT . Dette betyr at ingen som standard kan åpne en direkte forbindelse fra internett til dine interne enheter med mindre det er portvideresending, en aktiv DMZ eller feilkonfigurerte protokoller som UPnP.

Den typiske policyen for en moderne ruter er å «avvise all innkommende trafikk med mindre det er eksplisitt tillatt ». Dette forsterkes av IPv4 NAT/PAT: interne enheter bruker private IP-adresser, og ruteren oversetter deres utgående tilkoblinger til en offentlig IP. Ethvert forsøk på å starte kommunikasjon fra internett uten en åpen port eller en eksisterende regel vil bli avvist.

Derfor er det så farlig å åpne en DMZ til en PC på det lokale nettverket som ikke har sin egen brannmur riktig konfigurert: den datamaskinen vil være fullstendig eksponert for Internett, med alle porter tilgjengelige unntatt de som er omdirigert til en annen maskin.

Grunnleggende beste praksis for ruterbrannmurer inkluderer å ikke åpne porter som ikke er strengt nødvendige, unngå bruk av DMZ bortsett fra for svært spesifikke enheter (som en spillkonsoll), og alltid deaktivere UPnP for å forhindre at enheter åpner porter på egenhånd. Manuell åpning av porter gir deg full kontroll over hva som eksponeres.

Det er også lurt å med jevne mellomrom sjekke hvilke porter som er åpne, lukke de som ikke lenger er i bruk, og begrense, der det er mulig, IP-adressene som kan få tilgang til sensitive tjenester (for eksempel å tillate SSH bare fra en bestemt administrativ IP-adresse og ikke fra hele Internett).

Vanlige brannmuralternativer på hjemme- og avanserte rutere

Avhengig av rutermerket ditt kan alternativene for brannmurkonfigurasjon variere, men logikken er lik: sikkerhetsprofil, regler og tilleggsfiltrering . La oss se på noen representative eksempler.

ASUS-rutere

ASUS-rutere integrerer en iptables- basert brannmur . Fra webgrensesnittet, i menyen «Brannmur», kan du aktivere eller deaktivere brannmuren for IPv4 og IPv6 (den er aktivert som standard, som den skal være) og konfigurere anti-DoS-tiltak som blokkerer kildeadresser som gjør for mange tilkoblingsforsøk.

Et annet vanlig alternativ er å blokkere pingforespørsler (ICMP Echo-forespørsler) til WAN-grensesnittet, slik at ruteren din ikke svarer (stealth-modus). I IPv6- miljøer er brannmuren konfigurert med en svært restriktiv innkommende policy : hver enhet har sin egen offentlige IP-adresse, men uventede innkommende tilkoblinger blokkeres, mens utgående tilkoblinger tillates normalt.

ASUS tilbyr også funksjoner for «LAN til WAN-filter», som lar deg blokkere trafikk fra LAN-et ditt til internett basert på kilde-IP-adresse, destinasjons-IP-adresse og porter. I tillegg støttes URL- og nøkkelordfiltrering internt av brannmuren for å håndheve restriksjoner.

Livebox-rutere (Livebox Fiber, osv.)

På Livebox-rutere, som ofte brukes av internettleverandører, administreres brannmuren fra menyen «Avanserte innstillinger > Brannmurinnstillinger». Der kan du velge mellom flere nivåer: lav, middels, høy og tilpasset.

Filtreringsnivået «lavt» tilbyr så å si ingen filtrering (utover det som er essensielt for NAT) og er beregnet på avanserte brukere som prioriterer fleksibilitet fremfor sikkerhet. Filtreringsnivået «middels», som vanligvis er standard, fjerner alle innkommende tilkoblinger og tillater utgående trafikk bortsett fra svært spesifikke tjenester som NetBIOS.

Den «høye» profilen er den mest restriktive: den tillater bare utgående tilkoblinger til veldefinerte standardtjenester og blokkerer uventede innkommende tilkoblinger. Den «tilpassede» modusen lar brukeren angi spesifikke regler og er ment for administratorer som vet hva de gjør. Med dårlig konfigurasjon kan du blokkere legitime tjenester eller etterlate betydelige sårbarheter.

AVM FRITZ!Box-rutere

FRITZ!Box-enheter har en ganske omfattende brannmur. I den avanserte visningen, under menyen «Internett > Filter», kan du aktivere skjult modus for å unngå å reagere på pings på WAN-nettverket og blokkere sensitive porter som 25 (ukryptert SMTP), NetBIOS eller Teredo hvis de ikke er i bruk.

I NAT-miljøer er det viktig å regelmessig gjennomgå innstillingene for portvideresending og lukke alle som ikke lenger er nødvendige for å forhindre at utdaterte tjenester blir inngangspunkter. FRITZ!Box sine egne fjernadministrasjonstjenester bør også deaktiveres hvis de ikke er nødvendige. I stedet er det sikrere å få tilgang til ruteren via et VPN og, når du er inne i nettverket, administrere den ved hjelp av den private IP-adressen.

FRITZ!Box tilbyr også IPsec-basert fjerntilgang og VPN-tilkoblinger mellom steder. Dette er en god måte å unngå å eksponere tjenester direkte til internett og tvinge all fjerntilgang gjennom en kryptert og kontrollert kanal.

Neste generasjons brannmurer (NGFW) og avansert sikkerhet

I bedriftsmiljøer går neste generasjons brannmurer, som FortiGate-serien, langt utover enkel portfiltrering. Disse enhetene integrerer avanserte nettverksfunksjoner og dyp sikkerhet på én plattform, noe som reduserer behovet for en rekke separate enheter.

FortiGate er for eksempel basert på operativsystemet FortiOS og inkluderer SD-WAN, ZTNA (Zero Trust Access), WLAN- og LAN-integrasjon, dyp inspeksjon av kryptert trafikk, IPS , filtrering av nettkategorier og AI-baserte analysefunksjoner gjennom FortiGuard-tjenester.

Disse NGFW-ene er vanligvis avhengige av en tilpasset ASIC -arkitektur , som muliggjør svært høy ytelse og forbedret energieffektivitet, selv ved inspeksjon av store mengder kryptert trafikk. Videre er de integrert i det som kalles et «sikkerhetsnett»: et sikkerhetsnett som spenner over nettverk, endepunkter og skyer, med enhetlige policyer som administreres fra plattformer som FortiManager.

Nøkkelen til denne tilnærmingen er at hele nettverksoverflaten dekkes med konsistente retningslinjer : fra perimeteret til endepunktet, inkludert hybrid- og skymiljøer. Dette muliggjør rask respons på nye trusler, segmenterer komplekse nettverk og gir fullstendig innsikt i trafikk- og sikkerhetshendelser.

Fremgangsmåte for å designe og konfigurere en godt strukturert nettverksbrannmur

Når vi snakker om brannmurer i bedriftsnettverk (fysiske eller virtuelle), er det ikke nok å bare koble til utstyret og la standardinnstillingene være. En forhåndsdesignet konfigurasjon av soner, IP-adresser og policyer er nødvendig for å muliggjøre finjustert trafikkontroll.

Design brannmursoner og IP-adresseringssystem

Det første trinnet er å identifisere nettverksressurser (servere, kritiske applikasjoner, arbeidsstasjoner, IoT-enheter, POS-systemer, VoIP osv.) og gruppere dem i henhold til funksjon, følsomhetsnivå og tilgangsbehov . I stedet for et enkelt, flatt nettverk der alt er sammenkoblet, opprettes segmenter eller soner.

Det er vanlig å definere en DMZ (demilitarisert sone) for servere som er eksponert for internett, for eksempel web-, e-post-, VPN- eller offentlige API-servere. I disse sonene er internettilgang begrenset til kun det som er absolutt nødvendig. Interne servere, for eksempel databaser, administrasjonssystemer, arbeidsstasjoner og tale- eller salgsstedsenheter, plasseres i interne soner med strengere sikkerhetsregler.

Når du bruker IPv4, er det viktig å bruke private adresseområder for alle interne nettverk og konfigurere NAT slik at interne enheter kan få tilgang til internett ved behov. Etter hvert som infrastrukturen bygges, brukes svitsjer med VLAN-støtte for å opprettholde logisk separasjon på lag 2 mellom segmentene.

Når sonestrukturen og IP-adresseringsplanen er klar, opprettes de tilsvarende sonene i brannmuren og tilordnes fysiske grensesnitt eller undergrensesnitt . Denne tilordningen er nøkkelen til å sikre at brannmurregler brukes riktig mellom soner.

Konfigurere tilgangskontrolllister (ACL-er)

Når sonene nå er definert, er det på tide å lage reglene som dikterer hva som kan kommunisere med hva . Disse reglene implementeres som ACL-er (tilgangskontrollister), der trafikken som er tillatt (eller nektet) mellom soner er spesifisert så detaljert som mulig.

Tilgangskontrolllister (ACL-er) brukes per brannmurgrensesnitt eller undergrensesnitt, og det er best å finjustere kilde-IP-adressen, destinasjons-IP-adressen og portene så presist som mulig . Med andre ord er det bedre å tillate «denne serveren til denne porten på denne databasen» enn «hele dette nettverket til alle porter på det andre nettverket».

En svært viktig regel er å «avvise alle» på slutten av hver tilgangskontrolliste (ACL). Denne restriktive policyen sikrer at all trafikk som ikke eksplisitt dekkes, blokkeres . Deretter brukes innkommende og utgående tilgangskontrollister på hvert grensesnitt, og oppførselen justeres i henhold til trafikkens retning.

Det er lurt å deaktivere offentlig tilgang til brannmurens administrasjonsgrensesnitt og sørge for å teste ikke bare at applikasjonene fungerer, men også at uønsket trafikk blokkeres effektivt . For eksempel bør du bekrefte at kontrollfunksjoner på applikasjonsnivå (blokkering av nettkategorier, avansert filanalyse, IPS osv.) fungerer som forventet.

Konfigurer tilleggstjenester og logger

Mange brannmurer lar deg aktivere tilleggstjenester som DHCP, NTP eller IPS direkte på enheten. Aktiver bare de tjenestene du faktisk kommer til å bruke; deaktiver resten for å redusere angrepsflaten.

Et annet kritisk aspekt er konfigurasjon av loggføring. For å overholde forskrifter som PCI DSS , må brannmuren sende detaljerte logger til en loggingsserver eller SIEM, som dekker aspekter som hvem som får tilgang til systemet, hvorfra, til hvilken tjeneste og med hvilket resultat. PCI DSS setter for eksempel spesifikke krav i avsnitt 10.2 og 10.3 angående innholdet i disse loggene.

Loggmengden kan være høy, men det er den eneste måten å revidere tilgang og oppdage angrepsmønstre eller avvik . Det anbefales å definere retningslinjer for oppbevaring, rotasjon og overvåking av disse hendelsene for å kunne reagere raskt når noe ser ut til å være galt.

Test konfigurasjonen grundig

Før du distribuerer en ny brannmurkonfigurasjon, eller etter en større endring, er det viktig å bekrefte at den blokkerer det den skal og tillater det som er nødvendig . Dette inkluderer portskanninger, sårbarhetsvurderinger og penetrasjonstesting.

Det er også viktig å ha sikkerhetskopier av konfigurasjonen på et sikkert sted og å teste tilbakestillingsprosessen. Før du gjør noen kritiske endringer, bør du dokumentere de planlagte modifikasjonene og bekrefte at du vet hvordan du gjenoppretter brannmuren hvis noe går galt i løpet av vedlikeholdsvinduet.

Brannmur i virtuelle servernettverk (privat eller offentlig sky)

På skybaserte serverplattformer er det vanlig å ha en brannmur på nettverksnivå som kan konfigureres fra kontrollpanelet, i tillegg til operativsystemets egen brannmur og eventuelle mellomliggende brannmurer. Å forstå rekkefølgen disse brukes i bidrar til å unngå regelkonflikter.

Vanligvis går innkommende pakker først gjennom nettverksbrannmuren (administrert av plattformen), deretter gjennom serverbrannmuren (for eksempel iptables på Linux eller Windows-brannmur), og til slutt gjennom eventuelle andre programvarebaserte brannmurer. Utgående trafikk følger motsatt vei.

I denne typen panel er konfigurasjonen vanligvis basert på regler med navn, handling (tillat eller nekt), kilde og destinasjon (IP, områder, CIDR, "hvilken som helst", "intern", "ekstern"), kilde- og destinasjonsporter (en spesifikk port, område eller "hvilken som helst") og protokoll (TCP, UDP, begge deler eller ICMP).

En viktig detalj er rekkefølgen på reglene : jo høyere en regel er i listen, desto høyere prioritet har den. En «avvis»-regel plassert før en «tillat»-regel for den samme trafikken vil føre til at den trafikken blokkeres. Det er derfor de vanligvis lar deg endre rekkefølgen på regler ved å dra og slippe, for å justere prioriteter.

Hvis brannmuren er i av-modus, kommer alle pakker inn og ut uten filtrering. I aktiv modus er standardoppførselen vanligvis å "tillate alt som ikke samsvarer med noen regel", selv om det er mye sikrere å angi en standard avvisningspolicy og bare tillate det som er nødvendig , spesielt i miljøer med sensitive data.

Brannmur i operativsystemet: Windows, macOS og Linux

I tillegg til ruterens brannmur og eventuelle skybaserte nettverksbrannmurer, inkluderer alle moderne systemer sitt eget beskyttelseslag. Riktig konfigurering gir en dyptgående forsvarstilnærming , spesielt nyttig hvis en tjeneste eksponeres for internett eller hvis en angriper får tilgang til det lokale nettverket.

Windows-brannmur: Grunnleggende og avansert konfigurasjon

I Windows filtrerer den innebygde brannmuren (Windows Defender-brannmur eller Microsoft Defender-brannmur) trafikk basert på forhåndsdefinerte og tilpassede regler . Du kan se og administrere den fra Windows-sikkerhetsappen, under delen «Brannmur og nettverksbeskyttelse».

Det første trinnet er å sjekke den aktive nettverksprofilen: domene, privat eller offentlig. Et privat nettverk (som hjemmenettverket ditt) forutsetter et relativt pålitelig miljø og tillater flere innkommende tilkoblinger, mens et offentlig nettverk (som Wi-Fi-et på en kafé) har strengere regler og blokkerer nesten alt som kommer utenfra.

Fra dette grensesnittet kan du aktivere eller deaktivere brannmuren for hver nettverkstype, men det er ikke lurt å deaktivere den fordi det øker sårbarheten for uautorisert tilgang . Hvis et legitimt program ikke fungerer fordi det er blokkert, er den riktige tilnærmingen å opprette et unntak eller åpne en bestemt port for det, ikke å slå av hele brannmuren.

Avanserte innstillinger administrerer innkommende og utgående regler , som bestemmer hvilke tilkoblinger som er tillatt. Windows klassifiserer disse reglene i fire typer: programregler (som tillater eller blokkerer en bestemt kjørbar fil), portregler (som kontrollerer bestemte TCP/UDP-porter), forhåndsdefinerte regler (levert av systemet) og tilpassede regler (de mest fleksible, slik at du kan kombinere program, port, protokoll og adresse).

I tillegg finnes det et alternativ for å blokkere alle innkommende tilkoblinger , inkludert de på listen over tillatte tilkoblinger. Dette er nyttig når du trenger maksimal sikkerhet, selv om det kan føre til at viktige tjenester (delte filer, eksternt skrivebord osv.) slutter å virke.

Mange organisasjoner bruker sentraliserte administrasjonsverktøy, for eksempel Ivanti Endpoint Security Solution Agent Configuration . Disse verktøyene lar brukere opprette en Windows-brannmurpolicy og distribuere den i masseutgave til enheter som kjører forskjellige versjoner av Windows (XP/2003, Vista og senere), og definere innkommende/utgående regler, unntak og brannmuraktivering/deaktivering som en del av konfigurasjons- eller reparasjonsoppgaver.

Hjelp, verktøy og sikkerhetsdefinisjoner i Windows-brannmuren

Detaljert konfigurasjon kan være noe komplisert, så det finnes verktøy som gjør hverdagsoppgaver enklere. TinyWall fungerer for eksempel som et administrasjonslag over Windows-brannmuren og lar deg endre driftsmoduser (mer eller mindre restriktive), vise aktive tilkoblinger, opprette hvitelister og forhindre at selve brannmuren blokkerer applikasjoner du trenger.

Et annet eksempel er Windows-brannmurkontroll , som integreres i systemstatusfeltet og tilbyr hurtigprofiler (høy, middels, lav, uten filter) og et praktisk grensesnitt for å administrere regler, importere/eksportere konfigurasjoner og aktivere en læringsmodus som oppdager digitalt signerte programmer for å lage regler mer intelligent.

I sikkerhetsløsninger for bedrifter som Ivanti Endpoint Security defineres spesifikke sikkerhetstrusler knyttet til Windows-brannmuren (for eksempel ST000102 for Windows-brannmuren i XP/2003). Disse definisjonene inkluderer tilpassbare variabler som lar deg spore om den faktiske brannmurkonfigurasjonen samsvarer med ønsket policy, og hvis ikke, markere datamaskinen som sårbar og starte reparasjonsoppgaver for å håndheve de riktige innstillingene.

Brannmur i macOS

På en Mac konfigureres brannmuren fra «Systeminnstillinger» (eller «Systemvalg» i eldre versjoner), i Nettverk og brannmur- delen . Der kan du aktivere den og deretter få tilgang til avanserte alternativer for å bestemme hvordan innkommende tilkoblinger skal håndteres.

Blant annet kan du blokkere uønskede tilkoblinger , kun tillate viktige apper og tjenester, kontrollere hvilke spesifikke apper som kan motta trafikk og aktivere automatisk tillegg av klarerte apper til listen over tillatte apper. Det er et enklere system enn Windows når det gjelder portdetaljer, men veldig effektivt for den gjennomsnittlige brukeren.

I bedriftsmiljøer suppleres dette vanligvis av sentralt administrerte sikkerhetspolicyer, som sikrer at alle Mac-maskiner følger de samme reglene angående eksponerte tjenester og applikasjoner som har tillatelse til å motta tilkoblinger.

Brannmur på Linux: UFW som et enkelt alternativ

I Linux, spesielt i distribusjoner som Ubuntu, er det vanlig å administrere iptables (eller nftables) ved hjelp av mer brukervennlige verktøy. En av de mest populære er UFW (Uncomplicated Firewall) , som tilbyr enkle kommandoer for å aktivere brannmuren og definere regler.

Installasjonen gjøres via pakkebehandleren (for eksempel «sudo apt-get install ufw»), og selv om UFW vanligvis er deaktivert som standard, anbefales det å sjekke statusen med «sudo ufw status» før du aktiverer den. Ikke aktiver den uten først å definere de grunnleggende reglene , da dette vil blokkere alle innkommende tilkoblinger og du kan miste ekstern tilgang.

Typiske regler inkluderer å tillate SSH («sudo ufw allow ssh») å opprettholde ekstern tilgang, åpne HTTP og HTTPS («sudo ufw allow http», «sudo ufw allow https») for webservere , og deretter legge til porter etter behov. Når de grunnleggende reglene er angitt, aktiveres brannmuren med «sudo ufw enable» og statusen sjekkes med «sudo ufw status», som viser listen over tillatte tjenester og porter.

Siden Linux allerede er et ganske robust system, gir det å ha UFW konfigurert et ekstra lag med sikkerhet som anbefales på det sterkeste , spesielt på servere som er tilgjengelige fra Internett.

Nettverkssegmentering, retningslinjer og forebygging av legitimasjonstyveri

En av de mest effektive strategiene for å forbedre sikkerheten er nettverkssegmentering . Ved å dele nettverket inn i segmenter (etter funksjon, enhetstype, risikonivå), er trafikk fra ett segment ikke synlig fra et annet, noe som reduserer virkningen av enhver hendelse.

Dette er spesielt relevant for IoT-enheter, som ofte kjører på eldre og sårbare systemer. Å plassere dem i VLAN-er eller isolerte soner og strengt begrense tilgangen deres minimerer risikoen for at en feil i et IP-kamera eller en sensor kompromitterer hele bedriftsnettverket.

Et annet viktig problem er optimalisering av brannmurpolicyer . Å legge til regler uten å gjennomgå dem fører til kaotiske opphopninger, konflikter og en nesten uhåndterlig brannmur. Ideelt sett bør du migrere fra portbaserte regler til applikasjonsbaserte regler, med tydelig oversikt over hvilke tjenester som tillates eller nektes, og gjennomgå dem med jevne mellomrom for å fjerne foreldede oppføringer.

Noen avanserte brannmurer inkluderer funksjoner for å forhindre tyveri av bedriftslegitimasjon . De skanner påloggingsforsøk (brukernavn og passord) og kryssrefererer dem med interne lister over organisasjonens kontoer, og blokkerer dermed bruken av dem på eksterne nettsteder som sosiale medier eller tjenester som ikke er relatert til virksomheten. De kan også vise advarsler til brukeren som forklarer risikoen ved gjenbruk av arbeidslegitimasjon.

Denne typen kontroller stopper ikke bare direkte angrep, men fungerer også som et verktøy for sikkerhetsbevissthet , noe som gjør virkningen av passordbruksvaner utenfor bedriftsmiljøet mer synlig for ansatte.

Hva skjer hvis du deaktiverer brannmuren (og hvorfor du ikke bør gjøre det)

Det er vanlig at noen som har problemer med et program eller et online spill prøver å deaktivere brannmuren «for å se om det fikser det ». Og ja, noen ganger løser det det umiddelbare problemet, men det åpner døren for en rekke risikoer som ikke er umiddelbart synlige.

Uten en brannmur er systemet utsatt for eksterne trusler som skadelig programvare, trojanere, virus og andre angrep som kan installeres uten noen barriere. Angripere kan forsøke å skanne ruterporter, og hvis NAT-reglene også er slappe, finne dårlig beskyttede tjenester og bruke dem som inngangspunkter.

En brannmur kontrollerer også utgående data : uten den ville ethvert ondsinnet program hatt fritt spillerom til å sende sensitiv informasjon til omverdenen. Videre er mange programmer avhengige av brannmuren for å bufre portskanningsangrep eller mindre DDoS-angrep; deaktivering av den eliminerer denne bufferen.

Hvis en app ikke fungerer på grunn av brannmuren, er ikke den profesjonelle løsningen å slå den av, men å opprette en spesifikk regel som tillater nødvendig trafikk , sjekke om ruteren må åpne noen porter og justere reglene slik at det ikke er noen konflikter mellom den lokale brannmuren og nettverksutstyrets brannmur.

Sameksistens av flere brannmurer: ruter og PC samtidig

Når du har en brannmur på ruteren og en annen på PC-en (for eksempel Windows-brannmuren), går all innkommende trafikk først gjennom ruteren og deretter gjennom datamaskinen. Denne tolagssikkerheten øker den generelle sikkerheten når den er riktig konfigurert, fordi en feil i ett lag kan kompenseres for av det andre.

Du må imidlertid være forsiktig med inkonsistente regler . Hvis ruteren blokkerer en port som PC-ens brannmur tillater, eller omvendt, kan det hende du finner tjenester som ikke fungerer, og du er ikke sikker på hvilket av de to lagene som forårsaker problemet.

I praksis er den mest fornuftige tilnærmingen at ruterens brannmur fungerer som den primære perimeterbarrieren , og bare tillater det som virkelig trenger å komme inn fra internett, mens PC-ens brannmur kontrollerer trafikk mellom enheter på LAN-et og all mistenkelig utgående kommunikasjon. Dette, kombinert med en godt konfigurert NAT og unngåelse av overdreven bruk av DMZ og UPnP, gir et svært robust beskyttelsesnivå for et hjemme- eller lite kontormiljø.

Til syvende og sist vil det å forstå hvordan ulike brannmurer (ruter, operativsystem, sky, bedriftens NGFW) fungerer og er koblet sammen, gi deg muligheten til å ta mer informerte beslutninger: hvilke tjenester du skal eksponere, hvor du skal segmentere, hvilke logger du skal oppbevare, og hvordan du justerer reglene for å opprettholde en balanse mellom sikkerhet og brukervennlighet på nettverket og enhetene dine.